AS / ASN / routing BGP — jak działa szkielet Internetu

I. Czym jest AS — system autonomiczny

AS (Autonomous System, system autonomiczny) to sieć lub grupa sieci objęta jedną, wspólnie administrowaną polityką routingu. Jakiego protokołu routingu AS używa wewnętrznie (OSPF / IS-IS), to jego sprawa, ale między systemami AS do publicznego ogłaszania prefiksów IP służy BGP.

• Duży dostawca internetu sam jest systemem AS (China Telecom AS4134, China Unicom AS4837, China Mobile AS9808)
• Duży dostawca chmury to AS (Google AS15169, Cloudflare AS13335, AWS AS16509)
• Uczelnie, instytucje rządowe i duże przedsiębiorstwa mogą mieć własny AS
• Adres IP zwykłego użytkownika łącza domowego jest wydzielany z AS jego dostawcy internetu — użytkownicy końcowi nie potrzebują własnego AS

1.1 Kto przydziela numery ASN

Numerami ASN (numerami AS) zarządza 5 regionalnych rejestrów internetowych (RIR):

Numery ASN były pierwotnie 16-bitowe (0-65535; po 1996 r. zaczęło ich brakować); dziś są 32-bitowe (0-4294967295, RFC 6793). Obecnie na świecie faktycznie używa się ok. 120 000 z nich.

1.2 Jak czytać numer ASN — formaty

Obecnie używa się po prostu zapisu liczbowego. Prefiks „AS” można pominąć, ale pełny zapis jest czytelniejszy.

II. BGP — internetowy „system kodów pocztowych”

BGP (Border Gateway Protocol), RFC 4271, to jedyny protokół routingu używany między systemami AS. Każdy AS za pomocą BGP ogłasza sąsiednim systemom AS: „mam dostęp do tych prefiksów IP, a przeze mnie dotrzesz do tych dalszych systemów AS”.

2.1 Istota ogłoszenia BGP: prefiks + AS-PATH

Prefix                Next Hop          AS-PATH
104.16.0.0/13    203.0.113.1   AS3356 AS13335   ← przez Lumen do Cloudflare
104.16.0.0/13    198.51.100.5   AS6939 AS13335   ← przez HE.net do Cloudflare
8.8.8.0/24      203.0.113.1   AS3356 AS15169   ← do Google DNS
202.106.0.0/16  198.51.100.5   AS6939 AS4847 AS4134 ← do China Telecom w Pekinie

AS-PATH wymienia wszystkie systemy AS na drodze od źródłowego AS (właściciela prefiksu) do bieżącego routera. Czytaj od prawej do lewej — skrajny prawy AS to źródło, skrajny lewy to sąsiad.

2.2 Jak BGP wybiera najlepszą ścieżkę

Gdy dla tego samego prefiksu istnieje wiele ścieżek, BGP wybiera jedną według poniższej kolejności priorytetów (w skrócie):

1. LOCAL_PREF: im wyższy, tym lepiej — wewnętrzna preferencja w ramach AS (która trasa jest używana najpierw)
2. Krótszy AS-PATH jest lepszy — wygrywa ścieżka przez mniej systemów AS
3. Origin: IGP (wewnętrzny) > EGP > Incomplete
4. MED (Multi-Exit Discriminator): im niższy, tym lepiej — wskazówka przekazywana między systemami AS
5. eBGP > iBGP
6. Koszt IGP: im niższy, tym lepiej
7. Router ID: im niższy, tym lepiej (ostateczne rozstrzygnięcie remisu)

Uwaga: BGP nie zawsze wybiera najszybszą ścieżkę. Krótszy AS-PATH nie oznacza mniejszego opóźnienia fizycznego. Trasa międzykontynentalna przez 1 AS może być wolniejsza niż trasa w obrębie jednego miasta przez 3 systemy AS.

III. Tier 1 / Tier 2 / Tier 3 — hierarchia dostawców internetu

Wszystkie systemy AS dzielą się na trzy poziomy w zależności od tego, czy muszą płacić za transit operatorowi nadrzędnemu:

Typowa ścieżka pakietu z łącza domowego: Twój dom → mały lokalny dostawca internetu (Tier 3) → sieć prowincjonalna / miejska (Tier 2) → szkielet China Telecom (Tier 1) → zagraniczny Tier 1 → sieć docelowa.

IV. Sprawdź samodzielnie — przez które systemy AS przechodzi ruch z domu do Google

Użyj mtr -bz (BSD: traceroute -A), aby zobaczyć numer AS każdego przeskoku:

HOST: xxx                Loss%   Snt   Last  Avg   ASN
1.  192.168.1.1                0.0%   10   0.5  0.6   (sieć prywatna, brak numeru ASN)
2.  61.183.x.x                 0.0%   10   3.2  3.5   AS4134  China Telecom
3.  202.97.x.x                 0.0%   10   5.1  5.4   AS4134  szkielet China Telecom
4.  202.97.x.x                 0.0%   10  15.2  16.1  AS4134
5.  202.97.x.x                 0.0%   10  45.3  46.0  AS4134  węzeł przed wyjściem
6.  211.95.x.x                 0.0%   10 156.4 158.2  AS4134  brama międzynarodowa
7.  72.14.215.x                0.0%   10 158.1 159.8  AS15169 sieć Google
8.  142.250.x.x                0.0%   10 159.8 161.2  AS15169 Google
9.  142.250.x.x (www.google.com)  0.0%   10 160.2 162.0  AS15169

Z tego śladu mtr widać, że:

• Dom → lokalna sieć China Telecom (AS4134, przeskoki 2-3): < 10 ms
• Szkielet China Telecom (AS4134, przeskoki 4-6): 5-150 ms
• Przeskok z bramy międzynarodowej do Google (AS15169, przeskok 7): nagły skok do ponad 150 ms ← opóźnienie wyjścia za granicę
• Wewnątrz Google (AS15169, przeskoki 8-9): < 5 ms

Z chińskiego łącza domowego do Google ruch przechodzi tylko przez 2 systemy AS — wyjątkowo krótki AS-PATH — a mimo to opóźnienie fizyczne jest wysokie. Właśnie to mamy na myśli, mówiąc, że „długość ścieżki BGP to nie opóźnienie fizyczne”.

V. Dwa koszmary bezpieczeństwa BGP — wycieki tras i przejmowanie tras

5.1 Wyciek tras (route leak)

AS przez pomyłkę przekazuje trasy, które nie powinny trafić do operatora nadrzędnego, swojemu operatorowi nadrzędnemu lub sąsiadowi, kierując globalny ruch złą ścieżką. Klasyczny przykład: dostawca internetu myli trasy klienta ze swoimi własnymi trasami i ogłasza je wszystkim.

Głośny incydent: w listopadzie 2017 r. wyciek tras z Level3 (AS3356) zakłócił działanie usług dla wielu klientów Comcast i Verizon.

5.2 Przejęcie BGP (BGP hijack)

Złośliwy AS ogłasza prefiksy IP, które do niego nie należą. Gdy inne systemy AS zaakceptują to ogłoszenie, ruch zostaje przekierowany do przejmującego, co umożliwia ataki MITM, odmowę usługi lub zatruwanie DNS.

Głośne incydenty:

• 2008: pakistański PTCL ogłosił prefiks YouTube, przekierowując globalny ruch YouTube do Pakistanu na 2 godziny
• 2018: eNet (AS10297) ogłosił prefiksy DNS usługi Amazon Route 53, przejmując ruch użytkowników MyEtherWallet na ok. 2 godziny
• 2022: rosyjski RTCOMM na krótko przejął prefiks serwisu Twitter

5.3 Obrona — RPKI podpisuje trasy

RPKI (Resource Public Key Infrastructure), seria RFC 6480, pozwala prawowitemu posiadaczowi prefiksu IP kryptograficznie podpisać informację „ten prefiks może pochodzić wyłącznie z tego AS”. Routery BGP obsługujące RPKI odrzucają trasy niepodpisane lub podpisane nieprawidłowo.

Ok. połowa wszystkich prefiksów IPv4 na świecie jest już podpisana w RPKI, a ich udział stale rośnie. Gdy sprawdzasz adres IP w cleanip.io, karta „Informacje o AS” pokazuje jego status RPKI: valid / invalid / not-found.

VI. Jak sprawdzić, do którego numeru ASN należy adres IP lub domena

6.1 Sprawdź bezpośrednio w cleanip.io

Wejdź po prostu na https://cleanip.io/8.8.8.8 lub https://cleanip.io/AS15169 — pokazujemy pełne informacje o numerze ASN, datę rejestracji, zakresy adresów IP, operatorów nadrzędnych i podrzędnych oraz rozkład geograficzny.

6.2 Wizualizacja BGP w cleanip.io

/asn-graph rysuje topologię BGP dla dowolnego numeru ASN — od Origin przez Tier 2 do Tier 1 — dzięki czemu od razu widać, kto z kim ma peering.

/asn-history pokazuje historyczną przynależność adresu IP / CIDR — do jakich systemów AS należał dany CIDR na przestrzeni czasu i kiedy to się zmieniało.

6.3 Narzędzia wiersza poleceń

$ whois -h whois.cymru.com " -v 8.8.8.8"
AS      | IP        | BGP Prefix    | CC | Registry | Allocated  | AS Name
15169   | 8.8.8.8   | 8.8.8.0/24    | US | arin     | 1992-12-01 | GOOGLE, US

$ curl https://api.bgpview.io/ip/8.8.8.8 | jq
{
  "data": {
    "ip": "8.8.8.8",
    "prefixes": [{
      "asn": { "asn": 15169, "name": "Google LLC" },
      "prefix": "8.8.8.0/24"
    }]
  }
}

VII. Popularne numery ASN — ściągawka

VIII. Dlaczego to ważne także dla zwykłych użytkowników

• Systemy oceny ryzyka biorą pod uwagę numer ASN przy ocenie reputacji IP — numery ASN centrów danych (dostawców chmury/VPN) zwykle mają niższą ocenę; numery ASN łączy domowych (China Telecom / Unicom) — wyższą
• Wybierając CDN dla ruchu transgranicznego, sprawdź odległość AS między numerem ASN docelowych użytkowników a węzłami CDN — cleanip.io jednym sprawdzeniem pokaże, do którego AS należy adres IP
• Podczas ataku DDoS numer ASN to pierwszy trop przy ustalaniu źródła — np. „większość ruchu atakującego pochodziła z centrum danych AS46562 Performive”
• Wybierając VPN, sprawdź, w którym IDC (pod jakim numerem ASN) jest hostowany — zobacz artykuł Namierzanie VPN, w którym omawiamy to szczegółowo